Threat Dragon: OWASPs Open-Source-Bedrohungsmodellierungsanwendung

Bedrohungsmodellierung mit Datenflussdiagrammen · Diagramme und Bedrohungslisten 1

Threat Dragon ist eine kostenlose, Open-Source-, plattformübergreifende Bedrohungsmodellierungsanwendung von OWASP. Sie wird verwendet, um Bedrohungsmodellierungsdiagramme zu zeichnen und Bedrohungen für Elemente in diesen Diagrammen aufzulisten. Mike Goodwin hat sie als Open-Source-Community-Projekt erstellt. Das Projekt zielt auf Benutzerfreundlichkeit, das Entwerfen eines Datenflussdiagramms, das Vorschlagen von Bedrohungen und das Eingeben von Gegenmaßnahmen und Maßnahmen ab. Es folgt den Werten und Prinzipien des Threat Modeling Manifesto und hat den OWASP-Produktionsstatus. Abschnittsbezug 1.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 1.2 für threat-dragon.

Gehostete Version testen und Releases herunterladen · Diagramme und Bedrohungslisten 2

Das README verweist auf eine Demo-Website für den Zugriff auf die neueste Version und auf Dokumentationsseiten. Es erwähnt auch eine OWASP-Spotlight-Videoserie. Releases sind auf der GitHub-Releases-Seite verfügbar, mit Versionen von 1.3 bis zur neuesten 2.x. Frühere Releases stammen aus Mike Goodwins ursprünglichem Repository. Threat Dragon ist in erster Linie eine Webanwendung, aber es gibt auch Desktop-Installationsprogramme für Windows, macOS und Linux. Endbenutzerhilfe gibt es sowohl für die neueste Version 2.x als auch für die vorherige 1.x. Version 1.x befindet sich im Wartungsmodus, da das AngularJS-Framework das Ende seiner Lebensdauer erreicht hat; Version 2.x wurde mit Vue.js neu geschrieben. Abschnittsbezug 2.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 2.2 für threat-dragon.

Version 2.x aus dem Quellcode erstellen und ausführen · Diagramme und Bedrohungslisten 3

Um Version 2.x zu erstellen, sagt das README, dass git und node.js, einschließlich npm, installiert werden müssen. Das Klonen des Repositorys mit `git clone https://github.com/owasp/threat-dragon.git` lädt den Code in ein `threat-dragon`-Verzeichnis herunter. Der Code ist in zwei Unterordner aufgeteilt: `td.server` für das Backend und `td.vue` für das Frontend. Führen Sie `npm install` aus dem obersten Verzeichnis aus. Die Webanwendungsvariante erfordert Umgebungsvariablen; das README verlinkt auf die Konfigurationsdokumentation. Für den Zugriff auf externe Repositorys wie Bitbucket, GitHub oder GitLab müssen Sie die Anwendung bei diesen Diensten registrieren. Während der Entwicklung unter Windows können Frontend und Server separat mit `npm run dev:server` und `npm run dev:vue` gestartet werden. Unter Linux oder macOS startet `npm start` beide aus dem obersten Verzeichnis. Greifen Sie unter `http://localhost:8080/` auf die Anwendung zu. Zum Stoppen verwenden Sie `npm stop`, wenn Sie mit `npm start` gestartet haben, andernfalls brechen Sie beide Prozesse ab. Abschnittsbezug 3.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 3.2 für threat-dragon.

Threat Dragon mit Docker ausführen · Diagramme und Bedrohungslisten 4

Docker-Images werden in der OWASP-Organisation auf Docker Hub gepflegt. Jedes Release ist als `v{major}.{minor}.{patch}` getaggt, z.B. `v2.2.0`. Das README warnt, dass das `latest`-Tag eine Entwicklungsversion sein könnte, und empfiehlt daher das `stable`-Tag, das immer auf das neueste offizielle Release zeigt. Es werden Befehle zum Abrufen und Ausführen des Images bereitgestellt, mit Beispielen für macOS, Linux und Windows, die Port 8080 auf 3000 mappen und eine `.env`-Datei einbinden. Für einen lokalen Build zeigt das README `docker build -t owasp-threat-dragon:dev .` gefolgt von einem `docker run`-Befehl. Wie beim vorgebauten Image nimmt das README den http-Port 8080 und den Zugriff unter `http://localhost:8080/` an. Abschnittsbezug 4.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 4.2 für threat-dragon.

Beitragen, Feedback und Community-Kanäle · Diagramme und Bedrohungslisten 5

Das README lädt zu Pull-Requests, Feature-Requests, Fehlerberichten und jeglichem Feedback ein und verweist auf eine Mitwirkenden-Seite und Entwicklernotizen. Es bittet Mitwirkende, Tests einzuschließen, da das Projekt versucht, die Testabdeckung relativ hoch zu halten. Die Community ist per E-Mail an die OWASP-Google-Gruppe oder über den OWASP-Slack-Kanal `#project-threat-dragon` erreichbar. Es gibt auch ein Bluesky-Konto für das Projekt. Der Kontaktabschnitt spezifiziert keine Antwortzeiten oder Verfügbarkeit der Betreuer über die aufgelisteten Projektleiter hinaus. Abschnittsbezug 5.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 5.2 für threat-dragon.

Sicherheitsmeldung, Lizenz und Projektleitung · Diagramme und Bedrohungslisten 6

Das README bittet darum, Schwachstellen so schnell wie möglich zu melden, und verweist für eine sichere Offenlegung auf eine Sicherheitsrichtlinie. Es sind drei Projektleiter aufgeführt: Mike Goodwin, Jon Gadsden und Leo Reading. Das README erklärt, dass das Programm freie Software unter der Apache-2.0-Lizenz ist, und die Repository-Metadaten listen die SPDX-Lizenz als Apache-2.0 auf. Der Lizenztext selbst wurde jedoch nicht in den Materialien für diese Überprüfung bereitgestellt, daher können die spezifischen Bedingungen der Lizenz hier nicht beschrieben werden. Das README nennt auch ein Projektmotto: 'Bedrohungsmodellierung weniger bedrohlich machen'. Abschnittsbezug 6.1 für threat-dragon.

Threat Dragon dient zum Zeichnen von Datenfluss- und Bedrohungsmodellierungsdiagrammen. Die README beschreibt Web-App und Desktop-Installationsprogramme sowie die Ausrichtung auf zugängliche, flexible Modellierung. Der konkrete Bezug zu OWASP/threat-dragon bleibt damit an den Angaben des README und den genannten Dateien prüfbar. Abschnittsbezug 6.2 für threat-dragon.

Redaktionelles Fazit

Geeignet ist OWASP/threat-dragon für Leser, die genau die im README beschriebene Aufgabe bearbeiten. Nicht geeignet ist der Text als Beleg für undokumentierte Leistungswerte. Vor der Nutzung sollten threat-dragon, der konkrete Einstieg und die genannte Datei oder Konfiguration mit einer kleinen projektspezifischen Eingabe geprüft werden; relevant sind Ausgabe, Fehlerpfad und Abhängigkeiten.

Offizielle Quellen

1. Official documentation
2. Official README
3. Project repository
4. Release notes